Spear-Phishing zielt auf eine bestimmte Person oder Gruppe ab. Generisches Phishing hingegen zielt auf ein breites Publikum ab. Spear-Phishing recherchiert. Der Angreifer erfährt Namen, Rollen, Projekte und Beziehungen. Anschließend erstellt er eine passgenaue Nachricht. Ein Finanzmanager erhält eine Rechnung von einem bekannten Lieferanten. Ein Entwickler erhält eine GitHub-Benachrichtigung über ein Repository, an dem er tatsächlich arbeitet. Ein neuer Mitarbeiter erhält eine Onboarding-E-Mail von der Personalabteilung. Die Nachricht wirkt authentisch, weil sie auf realen Daten basiert.

Spear-Phishing ist schwerer zu erkennen als herkömmliches Phishing. Die Sprache ist korrekt. Der Absender könnte ein kompromittiertes Konto einer dem Opfer bekannten Person sein. Der Link könnte auf eine legitim aussehende Anmeldeseite verweisen. E-Mail-Filter haben Schwierigkeiten, da die Nachricht nicht bekannten Betrugsmustern entspricht. Der Datendiebstahl beim Democratic National Committee im Jahr 2016 begann mit einer Spear-Phishing-E-Mail an John Podesta. Die Angreifer gaben sich als Google aus und informierten ihn über eine Passwortänderung. Er klickte auf den Link. Sie erlangten seine Zugangsdaten. Zur Verteidigung reichen Filter allein nicht aus. Sie erfordert auch ein sicheres Sicherheitsverhalten. Überprüfen Sie die tatsächliche Absenderadresse, nicht den angezeigten Namen. Bewegen Sie den Mauszeiger über Links, bevor Sie darauf klicken. Bestätigen Sie ungewöhnliche Anfragen über einen anderen Kanal. Spear-Phishing ist erfolgreich, weil es personalisiert ist. Ein sicheres Sicherheitsverhalten ist erfolgreich, weil es nicht personalisiert ist.

Merkmale von Spear-Phishing

• Gezielt – bestimmte Einzelpersonen oder kleine Gruppen
• Recherchiert – verwendet echte Namen, Rollen und Projekte
• Personalisiert – die Nachricht passt zum Kontext der Zielgruppe
• Vertrauenswürdiger Absender – oft von einem kompromittierten Konto
• Schwer zu filtern – entspricht nicht generischen Phishing-Mustern

Beim Spear-Phishing bereitet sich der Angreifer gründlich vor. Die Verteidigung besteht darin, dass das Ziel seine Hausaufgaben macht.